CERT-FI haavoittuvuustiedote 048/2005

Haavoittuvuus Microsoft Word -ohjelmistossa

Kohde:	- työasemat ja loppukäyttäjäsovellukset	Lisätietoja
Hyökkäystapa:	- paikallisesti	Lisätietoja
Hyväksikäyttö:	- komentojen mielivaltainen suorittaminen	Lisätietoja
Ratkaisu:	- korjaava ohjelmistopäivitys	Lisätietoja

Microsoft Word on yleisesti käytetty tekstinkäsittelyohjelmisto. Word-ohjelmistosta on löydetty Microsoftin kriittiseksi luokittelema haavoittuvuus.

Haavoittuvuus liittyy Word-ohjelmiston kirjasintyyppien (font) käsittelyrutiineihin. Haavoittuvuutta voidaan hyväksikäyttää lähettämällä kohdejärjestelmän käyttäjälle tietyllä tavalla laadittu Word-dokumentti, jonka käyttäjä avaa. Haavoittuvuutta hyväksikäyttämällä hyökkääjän on mahdollista suorittaa kohdejärjestelmässä omaa ohjelmakoodiaan.

HAAVOITTUVAT OHJELMISTOT:

• Microsoft Word 2000

Microsoft Office 2000 -ohjelmistokokonaisuus mukaanlukien Software Service Pack 3 -ohjelmistopäivitys on haavoittuva.

• Microsoft Word 2002

Microsoft Office XP -ohjelmistokokonaisuus mukaanlukien Software Service Pack 3 -ohjelmistopäivitys on haavoittuva.

Microsoft Works Suite 2001, 2002, 2003 ja 2004 -ohjelmistopaketit sisältävät haavoittuvan Word-ohjelmiston.

Microsoft Office 2003 Word ja Microsoft Office 2003 Word Viewer -ohjelmistot eivät ole haavoittuvia.

RATKAISU- JA RAJOITUSMAHDOLLISUUDET:

Älä avaa muista kuin luotetuista lähteistä saatuja Word-dokumentteja.

Päivitä haavoittuva ohjelmisto Microsoft turvatiedotteen MS05-035 ohjeiden mukaisesti.

LISÄTIETOA:

http://www.microsoft.com/technet/security/Bulletin/MS05-035.mspx

http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2005-0564

PÄIVITYSHISTORIA:

12.07.2005: Julkaistu
13.07.2005: Korjattu haavoittuvien ohjelmistojen luetteloa: poistettu Microsoft Works Suite 2000 luettelosta.

Sivua päivitetty 20.03.2007

Tulostusversio